Swiftkey, entre una vulnerabilidad y el sensacionalismo

600 millones de smartphones Samsung en peligro.

Con alguna que otra variación, ese es el titular de muchos artículos que tomaron la noticia sobre una vulnerabilidad encontrada en Swiftkey – que es el mejor teclado del mundo casi sin discusión – y que permitiría ejecutar código «maligno» a nivel de superusuario. No quedan dudas, ese tipo de titular uno quiere entrar a leer la nota porque o tiene un smartphone Samsung o tiene algún conocido con uno. Y si, atrapa.

Una vez con la nota leída tenemos varias respuestas pero también nos quedan varias dudas. En este caso se sabe que los modelos que podrían tener este problema son Galaxy S3, S4, S5, S6, S6 Edge y los Galaxy Note 3 y Note 4. La brecha se achica ya que son modelos de gama alta.

Pero bien, ¿y de qué trata el exploit en particular? Resulta que un investigador llamado Ryan Welton detectó que la actualización manual de los diccionarios de Swiftkey en esos modelos se envían en texto plano en lugar de cifrarse lo que le brinda una hermosa puerta trasera para que, mediante un Proxy y generando un DNS hijacking, pueda «engañar» al smartphone. Si esto sucede, en lugar de un diccionario el programa descargará un paquete que se puede autoejecutar a discreción del atacante y casi hacer lo que éste quiera sin que el dueño del equipo se entere.

Seguramente a más de un usuario que tiene Samsung le pudo haber corrido una gota helada por la espalda que quizás molestó al llegar al final de la misma. Pero detengámonos un poco en el exploit y analicemoslo mejor.

1) Para que suceda, el usuario tiene que estar conectado en una red «hackeada» (WiFi público).
2) Si lo anterior pasa, además, el usuario tiene que actualizar el diccionario de su teclado manualmente.

Es decir, hay que tener muchísima mala suerte para que, en caso de que alguien cree una infraestructura man-in-the-middle (hombre en el medio) con la intención de bypassear un request cuando sea al sitio de Swiftkey, a uno de los conectados se le ocurra actualizar el diccionario de su teclado.

Mirá como funciona el exploit:

Ahora yo te pregunto: ¿alguna vez actualizaste el diccionario de tu teclado?

Te respondo: Es probable que alguna vez, y me la estoy jugando mucho. Pero recordá que si estás leyendo esto sos, al menos, un usuario con conocimientos intermedios a avanzados y es probable que tu perfil de usuario no sea mayor al 5% del total.

Entonces nos queda más del 90% de la gente que nunca actualizó el diccionario de su teclado. Es un hecho.

Hagamos una analogía con algo más «terrenal». Imaginemos el siguiente titular:

30 millones de Argentinos en peligro por una bacteria peligrosa.

La noticia hablaría de una bacteria peligrosa, que ataca a las personas mayores de 12 años y golpea con fuerza al sistema inmunológico y genera daños irreparables si no es tratada a tiempo, se centraría en los problemas que genera y si es o no curable.

Tendría un enlace a la investigación, pero no detendría demasiado en los detalles. Así sería la nota si lo que queremos es generar «miedo» o por lo menos impacto.

Imaginemos ahora que la investigación determina que para contraer esta bacteria la persona debería tener su sistema inmune muy deprimido, tener deficiencias gástrointestinales y además, que la misma se encuentra en las aguas servidas, por lo que para sufrirla habría que tomar agua contaminada.

¿Se entiende a lo que voy? El espectro de posibilidades se dispararía hacia abajo y dejaría de tener impacto.

Entonces la noticia no es noticia porque a decir verdad, es cuasi imposible que te hackeen por tener Swifktey.

Creo que, como parte (muy pequeña, eso si) de la prensa tecnológica, no debemos acudir al sensacionalismo a la hora de informar.